 
DIVISION DE CAEN
Caen, le 27 mars 2018 N/Réf. : CODEP-CAE-2018-015201 Monsieur le Directeur du CNPE de Penly BP 854 76 370 NEUVILLE-LES-DIEPPE
OBJET : Contrôle des installations nucléaires de base Inspection n° INSSN-CAE-2018-0200 du 7 mars 2018 
[1] Code de l'environnement, notamment son chapitre VI du titre IX du livre V 
[2] Arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base 
[3] Décision n° 2014-DC-0444 de l'Autorité de sûreté nucléaire du 15 juillet 2014 relative aux arrêts et redémarrages des réacteurs électronucléaires à eau sous pression 
[4] Directive interne EDF référencée DI 71 relative à la « Maîtrise des changements d'états en phases d'arrêt ou de redémarrage » 
[5] Directive interne EDF référencée DI 106 relative aux « Missions en matière de sûreté et de qualité - Structure Sûreté Qualité et Service Conduite » 
[6] Note de management du CNPE de Penly référencée D5039-MQ/MP000041 relative au 
« Processus élémentaire MP3.MSE-01 Pilotage de l'installation » 

## Monsieur Le Directeur,

Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu à l'article L. 592-21 du code de l'environnement, une inspection annoncée a eu lieu le 7 mars au CNPE de Penly, sur le thème du management de la sûreté et de la maitrise des changements d'états en arrêt de réacteur. 

J'ai l'honneur de vous communiquer, ci-dessous, la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent. 

## Synthèse De L'Inspection

L'inspection du 7 mars 2018 avait pour objectif le contrôle de la gestion par le CNPE des changements d'état du réacteur. Les inspecteurs se sont intéressés à l'organisation mise en place par le site pour assurer les changements d'état. Un contrôle des dossiers relatifs aux arrêts programmés des réacteurs 1 et 2 en 2016 et 2017 a été mené. Les inspecteurs se sont également intéressés à la gestion de l'arrêt fortuit du 26 février 2018 à la suite d'un essai d'îlotage. Au vu de cet examen par sondage, l'organisation définie et mise en œuvre sur le CNPE de Penly est apparue globalement satisfaisante. Les inspecteurs ont notamment souligné positivement l'appropriation par le site des enjeux règlementaires liés aux activités importantes pour la sûreté. Toutefois, plusieurs axes d'amélioration seront à explorer par le site. 

## A Demandes D'Actions Correctives A.1 Périmètre D'Application Du Processus Sur « L'Organisation Des Changements D'État En Arrêt De Tranche »

Les inspecteurs ont relevé que le champ d'application de la note de management [6] ne couvre pas les arrêts de réacteur de courte durée ou les arrêts fortuits. En effet, le paragraphe 8.1 de la note indique seulement que ces sont les modalités « applicables tant en arrêt de tranche pour rechargement (ASR/VP/VD) 
que pour intervention ». Bien qu'en général, le site applique cette procédure pour tous les types d'arrêt, les inspecteurs considèrent que la formalisation du rattachement des arrêts fortuits ou de courte durée au processus général de gestion des arrêts doit être faite. Je vous demande de revoir le périmètre d'application du processus relatif au changement d'état en arrêt de tranche afin d'y inclure clairement les arrêts de courte durée ou fortuits. 

## A.2 Limitation Du Nombre De Réserves Dans Les Commissions De Sûreté En Arrêt De Tranche (Comsat)

Dans la note référencée D5039-MQ/MP000041, les inspecteurs ont relevé qu'il n'était pas fixé, pour les commission de sûreté en arrêt de tranche (COMSAT), une limite, en terme de nombre de réserves, audelà de laquelle le compte rendu de la COMSAT ne pouvait être validé et une nouvelle réunion de la COMSAT devrait être planifiée. La directive interne (DI) n° 71 indique : « si le nombre de réserves est trop important pour que leur levée puisse être garantie dans des délais raisonnables avant le changement d'états, il est de la responsabilité du Président de la COMSAT de se prononcer sur la validité de la Commission (au-delà d'une quarantaine de réserves la COMSAT est reprogrammée sauf décision du président) ». Même si, sur le CNPE de Penly, il est conseillé aux métiers (à travers des fiches MEMO) de ne pas présenter des bilans avec plus de 40 réserves, les inspecteurs ont relevé que des comptes rendus de COMSAT avec plus de 40 réserves 
« bloquantes » ont été validées au cours des arrêts passés. 

La limitation du nombre de réserve pour la validation d'une COMSAT a pour objectif la sécurisation de la programmation des changements d'état. Cela permet également de maintenir une charge de travail raisonnable pour les équipes et pour le chef d'exploitation (CE) qui doit vérifier la levée de toutes les réserves pour autoriser le changement d'état. Je vous demande de fixer un nombre maximal de réserves au-delà duquel le compte-rendu de la COMSAT ne pourra pas être validé et la COMSAT devra se réunir à nouveau.

## A.3 Gestion Des Réserves Non Bloquantes Des Comsat

Lors de la consultation des différents comptes rendus de COMSAT, les inspecteurs ont relevé que les réserves identifiées comme « non bloquantes » n'étaient pas systématiquement levées avant le changement d'état. De plus, il n'y a aucune traçabilité de la levée de ces réserves *a posteriori* (après le changement d'état). Or, votre note de management [6] indique au paragraphe 8.5.3 : « les réserves non bloquantes sont à lever auprès du représentant désigné par le chef de projet ». Si les réserves « non bloquantes » ne doivent pas remettre en cause le changement d'état, l'absence formelle de levée de ces réserves n'a pas d'impact sur l'aptitude du réacteur à changer d'état. Cependant, l'absence de traçabilité de la levée de ces réserves dans le compte-rendu de la COMSAT constitue un écart à une exigence définie de l'activité importante pour la protection (AIP) de réalisation de l'ECU (Evaluation et Contrôle Ultime) correspondant à cette COMSAT. Par ailleurs, bien que dans la note de management [6] le terme « réserve non bloquante » soit défini, la DI 71 n'identifie pas de réserve « non bloquante ». Toutes les réserves doivent être levées pour permettre la validation de l'ECU et autoriser le changement d'état du réacteur. Bien que le principe d'identification des difficultés qui ne remettent pas en cause le changement d'état soit une bonne pratique, il convient de le réaliser en accord avec la directive DI 71. Je vous demande, en application de votre note de management [6], d'enregistrer dans les comptes rendus de COMSAT la levée de toutes les réserves non bloquantes. Si vous l'estimez pertinent, vous pourrez faire évoluer votre note de management [6] en identifiant les exigences définies liées à la gestion des réserves non bloquantes et en les redéfinissant.

## A.4 Gestion De L'Analyse Sur « 1Lhp001Mo »

Lors de l'analyse de l'ECU50 de passage de l'état arrêt normal sur les générateurs de vapeur (AN/GV) à l'état réacteur en puissance (RP) pour l'arrêt du réacteur n°1 (1P20), il a été noté en réserve bloquante n° 15 la réalisation d'un diagnostic sur le matériel du groupe diesel « 1 LHP 001 MO ». Ce diagnostic a été réalisé sous couvert la demande de travaux n° 456164. 

Or, l'analyse conduit le métier à ouvrir le plan d'action (PA CSTA) n° 00082099 indiquant un risque à terme sur la fiabilité du groupe diesel au cours du cycle à venir. Lors de la validation de l'ECU50, le chef d'exploitation (CE) a validé la levée de la réserve n° 15, le diagnostic ayant été fait par le métier concerné. Cependant, le CE a également, sur la base des conclusions du PA CSTA, autorisé le changement d'état sous réserve de la réparation pendant le cycle à venir du groupe diesel. Les inspecteurs estiment que s'agissant d'une activité « à réaliser afin de garantir la disponibilité du matériel requis dans l'état visé », l'analyse issue du PA CSTA n°00082099 aurait dû être une réserve à la COMSAT. Ainsi, la décision de la réparation en cours de cycle (et le délai accordé pour la remise en état) aurait dû être partagée en COMSAT. Par ailleurs, cette information aurait dû être mentionnée, selon les inspecteurs, dans la liste des écarts affectant les EIP dont le traitement est différé de la demande d'accord de divergence faite à l'ASN en application de l'article 2.4.2 de la décision [3]. Les inspecteurs ont bien noté qu'une communication sur cet écart avait été faite à l'ASN avant la divergence et que le traitement de cet écart a bien été réalisé conformément aux engagements pris par le site. Je vous demande de conduire une analyse de cette situation au regard du processus de changement d'état. Cette analyse devra porter notamment sur la rédaction des réserves et la gestion des conclusions des analyses qui seraient demandées dans des réserves. Par ailleurs, vous indiquerez, au regard de cette situation, la pertinence de la rédaction de critères à l'attention du chef d'exploitation pour la convocation d'une nouvelle COMSAT lors de la découverte d'un nouvel écart avant la validation de l'ECU. 

## A.5 Redémarrage Du Réacteur Après L'Îlotage Du 26 Février 2018

A la suite de l'îlotage du 26 février 2018, le réacteur n° 2 a eu un arrêt automatique. Lors de l'analyse du transitoire d'îlotage, il a été constaté que certaines vannes du système de contournement de la turbine au condenseur (GCT) avaient un temps d'ouverture supérieur au critère attendu. Il s'agit d'un critère B 
des règles générales d'exploitation (RGE) et en application de la section 1 : 
« Sont classés en groupe B, les critères d'essais dont l'évolution est caractéristique de la dégradation d'un équipement ou d'une fonction sans pour cela que ses performances ou sa disponibilité soient, après analyse, systématiquement remises en cause pendant la durée de mission. » L'analyse de premier niveau de cet écart conduit à la demande de réalisation d'une analyse de second niveau pour valider l'impact sûreté de ces temps d'ouverture des vannes GCT mesurés et ainsi de la disponibilité au sens des RGE de ces équipements. Le suivi de cette analyse sur les vannes GCT ayant été rattaché au projet « tranche en marche », il n'a pas été examiné en préalable à la divergence du réacteur n° 2. 

Par conséquent, la décision de changement d'état a été prise alors qu'une activité (analyse de 2nd niveau) 
permettant de garantir la disponibilité d'un matériel dans l'état du réacteur visé, n'a pas été réalisée. 

Si l'analyse de 2nd niveau a statué *a posteriori* sur la disponibilité des vannes GCT et de la possibilité d'attendre le prochain arrêt pour procéder au réglage des vannes, formellement, cette analyse aurait dû être faite avant la divergence du réacteur n° 2. Cette situation est contraire aux exigences définies pour l'ECU dans le domaine d'exploitation en arrêt normal sur les générateurs de vapeur (AN/GV) avant la divergence et constitue donc un écart dans la réalisation de l'activité importante pour la protection (AIP) des intérêts au sens de l'arrêté en référence 
[2]. 

Je vous demande de faire l'analyse de cet événement au regard de votre processus de maitrise des changements d'état des réacteurs et de m'indiquer les mesures d'amélioration retenues. Par ailleurs, je vous demande de faire une analyse de cet évènement au regard du guide de déclaration des événements significatifs de l'ASN. Je vous rappelle que le critère de déclaration n° 10 inclut selon le guide ASN : « **les manquements flagrants aux principes d'assurance** 
qualité lorsqu'ils auraient pu avoir un impact significatif **».** 

## A.6 Mise À Jour Du Processus De Gestion Des Changements D'État De Réacteur

La note de management [6] référencée D5039-MQ/MP000041 relative au « Processus élémentaire MP3.MSE-01 Pilotage de l'installation » définit l'organisation mise en œuvre par le site pour la gestion des changements d'état de réacteur. Les inspecteurs ont relevé plusieurs incohérences entre la note et les applications informatiques ou la directive nationale DI 71 [4]. Ainsi, en page 17, il est indiqué que les RSP (Responsable de Sous-Projet) contrôlent le passage à l'état « clôturé » ou « soldé » des PA CSTA. Or, les PA CSTA n'ont pas d'état « soldé » mais un état « approuvé » avec un attribut « soldé ». De même le diagramme figurant en annexe 16 de la note de management [6] n'est pas cohérent avec votre directive nationale DI 71 [4]. Ce diagramme mentionne notamment le point d'arrêt de contrôle ultime conduite après le changement d'état alors que ce point d'arrêt se fait avant changement d'état. De même, les « vérifications en local » devraient être rattachées aux « condamnations administratives ». La DI 71 indique au paragraphe 4.1 : « La COMSAT est programmée 6 à 48 heures avant d'engager le transitoire de changement d'états. En cas de dépassement du délai de 48 heures, ou de l'apparition d'un fortuit nécessitant de se repositionner vis-à-vis des engagements, une nouvelle COMSAT devra être organisée et les bilans gestionnaires revalidés ». 

Bien que ce principe soit suivi concrètement sur le site, cette règle n'a pas été clairement reportée dans la note d'organisation du CNPE de Penly. Il est fait mention dans la note de management [6] au paragraphe 8.6 : « exemple : dépassement du délai de 48 heures » sans plus de précision sur la nature de ce délai. Je vous demande d'intégrer ces remarques dans une future mise à jour de votre note de management en référence [6]. 

## A.7 Prise En Compte Des Activités En Cours De Planification Dans Les Bilans Gestionnaires (Bg)

Le chapitre 8.4 intitulé « préparation des bilans gestionnaires en phase de suivi » de la note en référence [6] précise « qu' *il est de la responsabilité des différents métiers de mettre en place une organisation adéquate afin de* garantir que les analyses requises en vue de changement d'état sont réalisés selon les exigences définies et dans le respect des échéances. L'exigence minimale est l'analyse 1 er niveau de l'activité. »
Il est également indiqué qu' « *ils veillent à l 'analyse des dernières activités fortuites qui sont concernées par le bilan* gestionnaire à venir. » 
Néanmoins, au cours de l'inspection vos représentants n'ont pas pu présenter de formalisation de l'organisation, que ce soit au niveau du site, ou au niveau des différents services, qui démontrent que ces « dernières activités fortuites » sont bien prises en compte lors des bilans gestionnaires. Je vous demande de compléter vos notes d'organisation en intégrant de façon détaillée l'analyse des dernières activités fortuites dans les bilans gestionnaires. 

## B Compléments D'Information B.1 Supports Des Comptes Rendus De Comsat

Lors de la consultation des comptes rendus de COMSAT, les inspecteurs ont relevé une hétérogénéité de remplissage par les agents. Notamment, le choix d'indiquer une situation comme réserve « non bloquante » peut varier d'un agent à l'autre. Ainsi, un espace permettant les commentaires des agents sur leur vérification permettrait d'introduire un peu de souplesse et d'améliorer la pertinence des réserves (bloquante ou non bloquante). 

De plus, les inspecteurs ont noté dans la trame des comptes rendus de COMSAT que les « actions de formation relatives à l'état de l'installation » étaient notées comme « sans objet ». Vos représentants n'ont pas pu préciser la définition et les attendus de cette action dans le temps de l'inspection alors que le bilan des actions de formation est requis par votre note de management [6]. Si cette vérification n'est pas pertinente dans tous les états de réacteur (notamment lors du passage en RP), il convient d'adapter votre trame afin que cela soit identifié. Je vous demande de me faire part des axes d'amélioration envisagés pour améliorer l'ergonomie des comptes rendus de COMSAT et de me préciser la définition « des actions de formation relatives à l'état de l'installation » . 

## C Observations C.1 Gestion Des Activités Importantes Pour La Protection Des Intérêts (Aip)

En application de la démarche de déclinaison des AIP sur le CNPE, la réalisation de certains ECU est identifiée comme une AIP. Sur le CNPE de Penly, vous avez judicieusement indiqué que les exigences définies applicables à ces AIP sont celles se retrouvant dans la note de management du processus MP3 en référence [6]. 

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

La chef de division, Signée par Hélène HERON 